Falhas críticas no PHP: como proteger seus sistemas

As falhas críticas no PHP CVE-2026-109618 e CVE-2026-109619, divulgadas em 21 de outubro de 2026, podem permitir execução remota de código sem autenticação em servidores que atendem requisições web. O problema está no interpretador PHP, não em um plugin específico. A correção já foi publicada.[1]

Quem precisa agir

Faça um inventário de sites e serviços que executam PHP: WordPress, aplicações próprias, PHP-FPM, Apache com mod_php e imagens de contêiner. O projeto PHP destaca o risco em diferentes formas de execução do interpretador; o risco demonstrado é especialmente alto em mod_php, inclusive antes de o código da aplicação começar a rodar.[1]

As versões corrigidas são 8.2.35, 8.3.36, 8.4.27 e 8.5.12. PHP 8.1 e anteriores não recebem correções oficiais regulares; fornecedores de distribuições podem fornecer backports, que precisam ser confirmados no aviso de segurança do fornecedor, não apenas pelo número da versão exibida.[1][2]

Como se proteger agora

1. Localize o PHP realmente em execução. Confira host, contêineres ativos e imagens usadas no próximo deploy. php -v no host não revela a versão dentro de um contêiner.
2. Aplique a atualização do fornecedor ou use uma imagem-base com a correção, reconstrua o serviço e reinicie todos os workers PHP. Verifique a versão no processo/contêiner novo e teste a aplicação após a troca.[1][3]
3. Priorize sistemas expostos à internet. Se não puder corrigir imediatamente, restrinja o acesso até conseguir atualizar. Um WAF e ajustes de configuração podem reduzir alguns caminhos de ataque, mas não substituem o patch.[1][3]
4. Monitore sinais anormais, como workers PHP iniciando shells ou baixando ferramentas, e acompanhe os comunicados da sua distribuição para pacotes com correção retroportada.[3]

Se o patch não puder ser aplicado imediatamente, o PHP recomenda temporariamente memory_limit=-1 por configuração administrativa, seguido de reinício dos workers e de limites de disponibilidade do contêiner ou host. Essa medida é parcial: falhas de alocação ainda podem alcançar o caminho vulnerável. Há também orientação específica para upload de sessão, mas nenhuma dessas medidas substitui a atualização.[1][4][5]

Sua equipe mantém aplicações PHP e não sabe quais serviços estão expostos? Veja como a Tera trabalha com engenharia de software ou descreva seu desafio. A prioridade é identificar o runtime real, aplicar a correção e verificar o deploy — não apenas atualizar um painel.

Fontes

[1] PHP — comunicado de segurança de 21/10/2026 [2] CERT-EU — aviso 2026-018 [3] CISA — alerta sobre as vulnerabilidades no PHP [4] PHP — análise técnica sobre limite de memória [5] PHP — análise técnica sobre upload de sessão

Fontes consultadas

• PHP releases 8.2.35, 8.3.36, 8.4.27, 8.5.12 — php.net. Consultado em 22/10/2026.
• CERT-EU Security Advisory 2026-018 — cert.europa.eu. Consultado em 22/10/2026.
• CISA alert on critical PHP vulnerabilities — cisa.gov. Consultado em 22/10/2026.
• PHP security advisory: memory limit — github.com/php/php-src. Consultado em 22/10/2026.
• PHP security advisory: session upload progress — github.com/php/php-src. Consultado em 22/10/2026.

Datas de consulta registradas no momento da verificação. Informações de terceiros podem mudar depois disso.